Cursor

Beoordeeld: 10 september 2026 - opgesteld door WAIMAKERS B.V.

---

1 Doel

Implementatiespecifieke beoordeling. Cursor kan alleen in een GDPR-beheerste ontwikkelomgeving worden gebruikt nadat de organisatie de betrokken functies, modellen en gegevens in kaart heeft gebracht. Privacy Mode dekt training en reguliere bewaring door modelaanbieders, maar houdt niet elke functie lokaal, verwijdert niet alle uitzonderingen voor veiligheidsbewaring en vormt geen EU-residente dienst.

---

2 Vergelijking van Cursor-abonnementen (EU-focus)

De onderstaande bedragen komen uit Cursor's actuele prijshelp en prijspagina.

Gebruiksbundels en on-demand modelkosten staan los van abonnementsprijzen en veranderen vaker dan de abonnementsnamen. Controleer voor aankoop het factureringsdashboard.

---

3 Is Cursor GDPR-compliant?

Datagebruik en bewaring

• ✅ Met Privacy Mode ingeschakeld zegt Cursor dat Customer Data niet door Cursor voor training wordt gebruikt en dat modelaanbieders onder zero-data-retention-afspraken werken.
• ⚠️ Die toezegging heeft gedocumenteerde uitzonderingen. Niet-ZDR-modellen vereisen goedkeuring, aanbieders kunnen gegevens die misbruikclassifiers activeren bewaren voor onderzoek en verzoeken met een eigen API-sleutel vallen onder het beleid van die aanbieder in plaats van Cursor's ZDR-afspraak.
• ✅ Privacy Mode is standaard ingeschakeld voor teamleden en kan door een beheerder worden afgedwongen. Bij individuele abonnementen blijft het een gebruikersinstelling.
• ⚠️ Cursor verstuurt prompts en codecontext naar model- en inference-aanbieders. De beveiligingspagina zegt dat codedata voor AI-functies Cursor-servers bereikt.
• ⚠️ Codebase-indexering uploadt leesbare codefragmenten om embeddings te berekenen. Cursor zegt dat leesbare code daarna wordt verwijderd en embeddings plus metadata worden bewaard. Gebruikers kunnen indexering uitschakelen en horen .cursorignore als aanvullende uitsluitingsmaatregel te gebruiken, niet als juridische garantie.
• ⚠️ Cloud Agents vormen een aparte gegevensstroom: ze bewaren tijdelijk versleutelde repositorykopieën tijdens een agentrun en verwijderen die na afloop. Self-Hosted Machines houden tooluitvoering op de machine van de klant, terwijl de agentloop in Cursor's cloud blijft.
• ⚠️ De DPA voorziet in verwijdering of teruggave binnen 30 dagen na schriftelijke instructie bij het einde van de dienst, tenzij de wet bewaring vereist. Dit is iets anders dan nulbewaring tijdens regulier gebruik.

Locatie en beveiliging

De eerdere stelling dat alle verwerking en opslag uitsluitend in de VS plaatsvindt, was te breed. Cursor's Enterprisedocumentatie biedt VS-residentie en, op aanvraag, alleen inference in de EU plus IJsland. Ruimere EU-verwerking en -opslag waren op de beoordelingsdatum nog in ontwikkeling. Bevestig de locaties van elke ingeschakelde functie en subprocessor schriftelijk.

Cursor's beveiligingspagina, bijgewerkt op 25 augustus 2026, noemt AES-256-encryptie at rest, TLS 1.2+ tijdens transport, een SOC 2 Type II-attestatie en AIUC-1-, ISO/IEC 27001:2022- en ISO/IEC 42001:2023-certificeringen. Deze maatregelen en Privacy Mode ondersteunen een risicobeoordeling; ze bepalen niet de rechtsgrond, doelbinding, dataminimalisatie, internationale doorgiftecompliance of de vraag of broncode persoonsgegevens bevat.

---

4 EU-implementatiechecklist (Praktisch)

1. Gebruik Teams of Enterprise voor organisatieworkloads zodat Privacy Mode afdwingbaar is.
2. Sluit de DPA, inspecteer de actuele subprocessorlijst en documenteer doorgiftemechanismen en aanvullende maatregelen.
3. Beperk niet-ZDR-modellen, eigen-sleutelroutes, Cloud Agents, MCP-servers en plugins volgens de dataclassificatie.
4. Sluit secrets, persoonsgegevens en gereguleerde repositories uit van prompts en indexering; verifieer uitsluitingen technisch.
5. Beslis of Cloud Agents tijdelijke repositorykopieën mogen bewaren. Gebruik Self-Hosted Machines pas nadat de resterende cloud-agentloop is gedocumenteerd.
6. Vraag schriftelijke scope voor een eventuele EU plus IJsland-inferenceafspraak; beschrijf dit niet als volledige EU-residentie.
7. Voer een DPIA uit als de voorgenomen verwerking waarschijnlijk een hoog risico oplevert. Cursor's DPA zegt dat klanten geen bijzondere categorieën gegevens moeten aanleveren.

---

5 Opmerkingen en voorbehouden

Open inkoopvragen

• Welke exacte modellen zijn ZDR, welke hebben uitzonderingen voor veiligheidsbewaring en kunnen beheerders ze blokkeren?
• Welke functies vallen onder het gevraagde residentieprogramma en waar vinden verwerking, opslag, back-ups en supporttoegang plaats?
• Welk verwijderbewijs bestaat voor indexeringsdata, Cloud Agents, logs en back-ups?
• Dekt CMEK alleen Cloud Agent-data of ook andere opgeslagen Customer Data in de gekochte configuratie?
• Welke actuele SOC 2-scope en pentestevidence dekt de geselecteerde productonderdelen?

---

6 Referenties

• Cursor privacy- en datahelp
• Cursor datagebruik en Privacy Mode
• Cursor beveiliging en infrastructuur
• Cursor Enterprise privacy, bewaring en residentie
• Cursor DPA
• Cursor prijzen
• Cursor prijshelp
• GDPR, officiële tekst

---

7 Disclaimer

Deze pagina is een praktisch overzicht voor inkoop en gegevensrisico, geen juridisch advies. Geschiktheid hangt af van de ondertekende overeenkomst, ingeschakelde productonderdelen, modelallowlist, gegevensklassen en de GDPR-beoordeling van de klant.